NEGOTIATE
Sécurité
NEGOTIATE est le premier message d’un échange d’authentification NTLM, envoyé par le client au serveur. Il annonce les versions et options prises en charge afin de fixer les règles de la suite de l’échange.
Message initial : Dans NTLM, NEGOTIATE correspond au message de type 1. Le client l’envoie avant de recevoir le défi du serveur, sans transmettre de mot de passe ni de preuve d’identité.
Capacités annoncées : Le message contient des indicateurs de négociation, appelés flags, qui décrivent les fonctions disponibles, comme certaines versions du protocole, le chiffrement ou la prise en charge d’un nom de domaine.
Choix des paramètres : Le serveur s’appuie sur ces informations pour construire son message CHALLENGE et retenir un ensemble de paramètres compatible. Une option annoncée n’est pas forcément utilisée, elle doit aussi être acceptée par le serveur.
Limites de sécurité : NEGOTIATE ne prouve pas l’identité du client et ne protège pas à lui seul la session. Les choix de sécurité effectifs apparaissent dans les messages suivants, notamment lors du calcul de la réponse au défi.
Ce qui arrive si on s'en passe
NEGOTIATE ne prouve rien et ne protège rien : c'est une liste de souhaits envoyée avant le défi. Un serveur qui accepte ce que le client annonce sans imposer ses propres exigences peut se laisser entraîner vers des options faibles, comme des variantes anciennes du protocole ou l'absence de signature, et un attaquant placé au milieu de l'échange a tout intérêt à orienter la liste dans ce sens. Traiter ce premier message comme une preuve d'identité serait une erreur plus grossière encore. Une négociation où l'une des parties n'a pas d'avis finit rarement à son avantage, en diplomatie comme en authentification.
Explication de la marmotte
Imagine une personne qui arrive à l’accueil d’un bâtiment. Elle commence par dire quelles langues elle parle, quels documents elle peut présenter et quelles règles elle accepte. L’accueil utilise ces informations pour préparer la suite, mais cette première annonce ne prouve pas encore son identité. Dans un échange informatique, NEGOTIATE joue ce rôle : le premier ordinateur décrit ses possibilités au second, qui choisit ensuite une méthode commune pour continuer la vérification.
Où ce terme est utilisé
- Attaque par relais NTLM et signature SMB obligatoire (2 occurrences)
- NTLM : protocole authentification LAN Manager New Technology Microsoft (2 occurrences)